TÜV in Deutschland, Pickerl in Österreich: Beim Auto käme kaum jemand auf die Idee: „Es wurde 2022 geprüft, also passt das noch.“ Bei Websites ist genau diese Logik erstaunlich beliebt. Die Agentur hat sie damals sauber übergeben. Seitdem wurden nur ein paar Plugins aktualisiert. Und ein Buchungstool eingebaut. Und die Schriften geändert.

Eine Website kann sich technisch verändern, ohne dass ihr Erscheinungsbild auffällt. Deshalb ist ein regelmäßiger Website-Check sinnvoll: nicht als Misstrauensbeweis gegenüber der Agentur, sondern als Blick auf den aktuellen Zustand.

Gemeint sind die österreichische §-57a-Begutachtung – das „Pickerl“ – und die deutsche Hauptuntersuchung, umgangssprachlich „TÜV“. Der Vergleich ist eine Analogie: Ein Website-Scan ist keine amtliche Begutachtung und kein Zertifikat. Er liefert einen technischen Befund im erreichten Umfang. Gerade diese begrenzte, konkrete Aufgabe macht ihn für den Alltag brauchbar.

Eine Website bleibt nicht im Übergabezustand

Stellen Sie sich eine kleine Unternehmenswebsite vor. Beim Start werden Schriften lokal eingebunden. Später bekommt das Team ein neues Theme-Modul, das eine andere Schrift nachlädt. Die Kontaktseite erhält eine Karte. Eine alte PDF-Broschüre wird ersetzt, ohne den Link auf der Kampagnenseite zu ändern. Nichts davon muss den großen Relaunch-Prozess auslösen.

Nach außen wirkt die Seite vertraut. Unter der Oberfläche haben sich ihre Abhängigkeiten verändert. Wer nur prüft, ob das Logo noch oben links steht, bemerkt diese Änderungen nicht. Dass eine Website erreichbar ist, beantwortet eben noch nicht, welche Server sie kontaktiert oder ob ihre wichtigsten Verknüpfungen funktionieren.

Laufende Updates sind der Service für Ihre Website

TÜV und Pickerl ersetzen keinen Service. Bei Ihrer Website ist es ähnlich: CMS, Plugins und Themes brauchen laufende Pflege. Updates beheben Fehler, können Sicherheitslücken schließen und bringen neue Funktionen mit. Dass die Startseite noch gut aussieht, sagt nichts darüber aus, ob die Software dahinter aktuell ist. Das BSI empfiehlt Unternehmen, bereitgestellte Sicherheitsupdates schnellstmöglich einzuspielen.

Klären Sie deshalb mit Ihrer Agentur oder Ihrem Webteam, wer Updates betreut, aktuelle Backups sicherstellt und nach Änderungen kontrolliert, ob alles funktioniert. Das gilt auch für automatische Updates: Die Installation kann ohne Fehlermeldung durchlaufen, während etwa ein Formular nicht mehr sendet oder ein Plugin eine neue externe Ressource lädt. Das sind mögliche Folgen, kein Grund, notwendige Aktualisierungen aufzuschieben.

Wartung und Prüfung ergänzen sich. Updates halten die Software aktuell. Ein anschließender Technik-Check hilft, Veränderungen bei externen Ressourcen, Security-Headern und Links zu erkennen. Kontaktformular, Terminbuchung und Kaufabschluss sollten Sie zusätzlich selbst durchspielen. Ein erreichbarer Link allein sagt schließlich noch nicht, ob die Buchung am anderen Ende gelingt.

Drei Fragen für die technische Bestandsaufnahme

Ein brauchbarer erster Check muss nicht jeden möglichen Fehler suchen. Für Website-Verantwortliche sind drei verständliche Fragen besonders hilfreich: Was lädt die Seite von außen? Welche Schutzregeln liefert der Server mit? Und wohin führen die Links tatsächlich?

Externe Ressourcen: Schriften, Karten, Videos und Skripte können Verbindungen zu weiteren Hosts auslösen. Das ist zunächst eine technische Beobachtung. Ob eine Verbindung rechtlich zulässig ist, braucht eine gesonderte Einordnung nach Zweck, Datenverarbeitung und Rechtsgrundlage. Mehr dazu im Beitrag Wer lädt auf Ihrer Website mit?

Security-Header: HTTP-Antworten können Regeln enthalten, die das Verhalten des Browsers beeinflussen. Die Regeln müssen zum System passen. Ein vorhandener Header ist nicht automatisch wirksam konfiguriert. Warum sechs gefundene Namen kein Sicherheitsurteil ergeben, erklären wir im Leitfaden zu Security-Headern.

Links und Dateien: Ein Link zum Angebot, zum Termin oder zum Download kann defekt sein, obwohl die Seite selbst normal lädt. Entscheidend ist deshalb nicht nur die Fehlermeldung, sondern auch die Fundstelle: Wo müssen Redaktion oder Entwicklung den Verweis ändern?

Wann lohnt sich eine erneute Prüfung?

Ein fester Kalendereintrag ist ein Anfang. Noch besser passt die Prüfung zu den Änderungen Ihrer Website. Ein ruhiger Firmenauftritt braucht einen anderen Rhythmus als ein Shop mit wöchentlichen Aktionen. Eine gesetzliche Universalfrist für diesen technischen Scan gibt es nicht.

• Nach CMS-, Theme- oder Plugin-Updates: Haben sich externe Aufrufe, sichtbare Inhalte oder wichtige Funktionen verändert? Auch automatisch eingespielte Aktualisierungen gehören in diese Routine.
• Nach einem Hosting- oder CDN-Wechsel: Werden die vorgesehenen Header noch mitgeliefert?
• Vor dem Start einer Kampagne: Funktionieren die konkreten Zielseiten, Downloads und Terminlinks?
• Nach Änderungen am Consent-Banner: Was geschieht vor einer Entscheidung, nach Ablehnung und nach Zustimmung?
• Nach einem Relaunch: Sind alte Adressen sinnvoll behandelt und interne Links aktualisiert?

Für eine häufig gepflegte Website kann zusätzlich ein monatlicher Prüftermin organisatorisch sinnvoll sein. Das ist eine mögliche Arbeitsroutine, keine behauptete gesetzliche Vorgabe. Wichtiger als das Intervall ist, dass jemand die Ergebnisse tatsächlich bearbeitet.

Ein Prüfbericht muss eine Übergabe ermöglichen

„Die Website hat technische Probleme“ ist als Ticket zu ungenau. Ein brauchbarer Befund nennt den betroffenen Bereich, die beobachtete Situation und die Fundstelle. Dazu gehört der Zeitpunkt der Prüfung. Bei einem externen Dienst ist es ein Unterschied, ob er nur im Quelltext erwähnt oder tatsächlich kontaktiert wurde.

Für die Zusammenarbeit reicht oft eine einfache Reihenfolge: Befund bestätigen, Zuständigkeit klären, Änderung umsetzen, betroffenen Ablauf erneut prüfen. Die Marketingabteilung muss dafür keine Serverkonfiguration lernen. Sie muss aber erkennen können, ob das Problem beim Inhalt, beim Hosting oder bei einer Einbindung liegt.

Eine Agentur bekommt so einen konkreten Arbeitsauftrag statt einer pauschalen Reklamation. Und die Geschäftsführung sieht, was erledigt ist und wo eine Entscheidung fehlt.

Ein technischer Befund ist keine Sicherheits- oder Rechtsfreigabe

Auch beim Auto wird nicht aus jeder einzelnen Prüfung eine Garantie für jede spätere Fahrt. Bei der Website gilt das erst recht: Ein automatisierter Check kann keine allgemeine DSGVO-Konformität feststellen und keinen Penetrationstest ersetzen. Login-Bereiche, individuelle Geschäftsprozesse oder Funktionen, die erst nach bestimmten Interaktionen erscheinen, können außerhalb des Scan-Rahmens liegen.

Die Reichweite muss daher im Ergebnis erkennbar bleiben. „Auf den besuchten Seiten nicht beobachtet“ ist eine andere Aussage als „auf dieser Website ausgeschlossen“. Diese Genauigkeit ist keine störende Fußnote, sondern Voraussetzung dafür, dass der Bericht bei der nächsten Entscheidung hilft.

Die günstigste Routine ist die, die tatsächlich stattfindet

Notieren Sie vor größeren Änderungen einen Ausgangsstand. Legen Sie fest, wer laufende Updates betreut, wer danach prüft und wer Hinweise bekommt. Sammeln Sie offene Punkte an einem Ort. Wenn die Korrektur abgeschlossen ist, halten Sie das Datum und die Nachprüfung fest.

So wird aus „Das müsste eigentlich noch passen“ ein nachvollziehbarer Ablauf. Die Website bekommt kein ewiges Gütesiegel. Sie bekommt regelmäßige Aufmerksamkeit – genau das, was bei einem laufenden Betrieb sonst selbstverständlich ist.